정보처리학회 논문지 컴퓨터 및 통신시스템
Current Result Document :
| 한글제목(Korean Title) |
Opcode와 API의 빈도수와 상관계수를 활용한 Cerber형 랜섬웨어 탐지모델에 관한 연구 |
| 영문제목(English Title) |
A Study on the Cerber-Type Ransomware Detection Model Using Opcode and API Frequency and Correlation Coefficient |
| 저자(Author) |
이형동
윤준희
이덕규
신용태
Hyungdong Lee
Joonhee Yoon
Doeggyu Lee
Yongtae Shin
이계혁
황민채
현동엽
구영인
유동영
Gye-Hyeok Lee
Min-Chae Hwang
Dong-Yeop Hyun
Young-In Ku
Dong-Young Yoo
|
| 원문수록처(Citation) |
VOL 11 NO. 10 PP. 0363 ~ 0372 (2022. 10) |
한글내용
(Korean Abstract) |
최근 코로나 19 팬더믹 이후 원격근무의 확대와 더불어 랜섬웨어 팬더믹이 심화하고 있다. 현재 안티바이러스 백신 업체들이 랜섬웨어에 대응하고자 노력하고 있지만, 기존의 파일 시그니처 기반 정적 분석은 패킹의 다양화, 난독화, 변종 혹은 신종 랜섬웨어의 등장 앞에 무력화될 수 있다. 이러한 랜섬웨어 탐지를 위한 다양한 연구가 진행되고 있으며, 시그니처 기반 정적 분석의 탐지 방법과 행위기반의 동적 분석을 이용한 탐지 연구가 현재 주된 연구유형이라고 볼 수 있다. 본 논문에서는 단일 분석만을 이용하여 탐지모델에 적용하는 것이 아닌 “.text Section” Opcode와 실제 사용하는 Native API의 빈도수를 추출하고 K-means Clustering 알고리즘, 코사인 유사도, 피어슨 상관계수를 이용하여 선정한 특징정보들 사이의 연관성을 분석하였다. 또한, 타 악성코드 유형 중 웜과 Cerber형 랜섬웨어를 분류, 탐지하는 실험을 통해, 선정한 특징정보가 특정 랜섬웨어(Cerber)를 탐지하는 데 특화된 정보임을 검증하였다. 위와 같은 검증을 통해 최종 선정된 특징정보들을 결합하여 기계학습에 적용하여, 최적화 이후 정확도 93.3% 등의 탐지율을 나타내었다. |
영문내용
(English Abstract) |
Since the recent COVID-19 Pandemic, the ransomware fandom has intensified along with the expansion of remote work. Currently, anti-virus vaccine companies are trying to respond to ransomware, but traditional file signature-based static analysis can be neutralized in the face of diversification, obfuscation, variants, or the emergence of new ransomware. Various studies are being conducted for such ransomware detection, and detection studies using signature-based static analysis and behavior-based dynamic analysis can be seen as the main research type at present. In this paper, the frequency of “.text Section” Opcode and the Native API used in practice was extracted, and the association between feature information selected using K-means Clustering algorithm, Cosine Similarity, and Pearson correlation coefficient was analyzed. In addition, Through experiments to classify and detect worms among other malware types and Cerber-type ransomware, it was verified that the selected feature information was specialized in detecting specific ransomware (Cerber). As a result of combining the finally selected feature information through the above verification and applying it to machine learning and performing hyper parameter optimization, the detection rate was up to 93.3%. |
| 키워드(Keyword) |
러시아-우크라이나 전쟁
사이버공격
대응 방안
IT군대
헥티비스트
Russia-Ukraine War
Cyberattack
Countermeasures
IT Army
Hacktivists
랜섬웨어
케르베르
Opcode
API
악성코드
기계학습
탐지
Ransomware
Cerber
Opcode
API
Malware
Machine-Learning
Detection
|
| 파일첨부 |
PDF 다운로드
|
